Planifier un appel

Obtenir par la VAE

Manager cybersécurité et résilience numérique

Niveau 7 · Bac+5RNCP 42858OPENCLASSROOMS

Comment l'obtenir par la VAE

  1. 1Vérifier l'adéquation. Mettre votre expérience en regard des 4 blocs de compétences ci-dessous, et décider si vous visez la certification complète ou certains blocs.
  2. 2Dossier de faisabilité. Le certificateur (OPENCLASSROOMS) confirme que votre projet est recevable.
  3. 3Dossier de validation. Vous décrivez vos activités et vos preuves, avec un accompagnement méthodologique.
  4. 4Jury. Évaluation par mise en situation professionnelle à distance et entretien avec le jury à distance.

Une validation partielle reste acquise : les blocs obtenus le sont définitivement.

Ce que le jury attend dans ce métier

Pour une VAE informatique et numérique, le dossier et l'entretien portent surtout sur :

  • Des projets ou des incidents réels, avec l'architecture et les choix techniques.
  • La sécurité : droits, sauvegardes, mises à jour, gestion des vulnérabilités.
  • La documentation produite et le travail en équipe (tickets, versions, méthodes agiles).
  • La relation avec les utilisateurs ou les clients.

Notre conseil : Un dépôt de code, une documentation ou des schémas que vous avez réalisés valent mieux qu'une liste de technologies.

Le descriptif officiel de la certification

Dans un contexte de transformation numérique massive, l'interconnexion croissante des systèmes d'information et l'essor de technologies comme le cloud et l'intelligence artificielle exposent l'ensemble des organisations à des risques cyber systémiques.

Lire la suite

Cette réalité est aggravée par une pression réglementaire inédite (notamment NIS2 et DORA) qui fait de la sécurité non plus une simple composante technique, mais un enjeu stratégique majeur pour la pérennité économique et la confiance numérique. Le secteur fait face à une pénurie structurelle de talents et à un besoin accru de professionnels capables de combler un skills gap en matière de pilotage et de gouvernance. Dans ce contexte, la certification professionnelle Manager cybersécurité et résilience numérique (MCRN) atteste de la capacité à se positionner comme un cadre stratégique et opérationnel. Elle certifie un profil hybride capable de naviguer entre l'expertise technique et la prise de décision stratégique. Elle s'adresse aux professionnels disposant d'un socle technique préalable et cible des fonctions à haute responsabilité et de coordination, se positionnant à l’interface des équipes techniques et des directions métiers. Les débouchés professionnels principaux incluent des rôles cadres tels que Responsable de la sécurité des systèmes d’information (RSSI), Consultant GRC (Gouvernance, Risques et Conformité), ou Auditeur de sécurité (en particulier sur les dimensions d’évaluation et d’audit).

Blocs de compétences évalués

Ouvrez un bloc pour voir les compétences attendues.

RNCP42858BC01Élaborer la stratégie de cybersécurité du SI (diagnostic, évaluation des risques et orientations)
  • Analyser l’écosystème et les enjeux de l’organisation, afin de définir le périmètre fonctionnel et technique du diagnostic en identifiant les actifs et les profils utilisateurs diversifiés, les sites et environnements concernés afin de circonscrire l’intervention, puis qualifier les contraintes et le contexte d'intervention afin de valider avec la Direction des objectifs de diagnostic explicites (audit vs conseil).
  • Réaliser une cartographie macro, orientée impact métier, des flux d’information critiques et des dépendances techniques ou externes, en sélectionnant le cadre méthodologique d’évaluation adapté aux objectifs et à la maturité de l’organisation (référentiels, normes telles qu’ISO, NIS2 ou ANSSI), afin de garantir une analyse d’impact centrée sur les processus essentiels.
  • Conduire un audit organisationnel de la sécurité : évaluer, sur la base de preuves objectivées (échantillonnage, traçabilité), la maturité de la gouvernance ainsi que des processus et pratiques de sécurité en s’appuyant sur des référentiels et méthodes d’audit reconnus (ex. ISO 27001/27002, etc.) et sur des techniques d’entretien et de revue documentaire, afin d’identifier et de qualifier les écarts procéduraux.
  • Superviser et piloter des audits techniques de cybersécurité (revues d’architecture, de configuration, de code, audits offensifs) en cadrant le périmètre et les objectifs, en coordonnant les experts internes ou tiers et en garantissant la qualité des preuves collectées, afin de consolider et interpréter les résultats, d’en évaluer la criticité au regard du risque métier et d’éclairer les décisions et arbitrages de sécurité.
  • Exploiter les résultats des audits organisationnels et techniques, analyser les rapports afin d’identifier les vulnérabilités exploitables, puis traduire les résultats en risques métiers et produire une synthèse exécutive des constats de sécurité fondée sur des preuves factuelles, afin d’objectiver le niveau de risque auprès des décideurs.
  • Cadrer la démarche d’analyse des risques cybersécurité : sélectionner la méthode d’analyse appropriée (ex. EBIOS RM/ISO 27005), définir le périmètre de l’étude en identifiant les biens essentiels, leurs dépendances et les exigences de continuité d’activité, puis établir une lecture du socle de sécurité existant afin de préparer l’analyse des risques.
  • Élaborer des scénarios de risques de cybersécurité (ex. EBIOS RM) en traduisant les vulnérabilités et les contextes en événements redoutés et impacts métiers, puis évaluer pour chaque processus critique la gravité, la vraisemblance et le niveau de risque brut, en documentant les hypothèses et le niveau de confiance.
  • Évaluer l’efficacité des mesures existantes pour établir le niveau de risque résiduel, définir et justifier les options de traitement (réduction/acceptation/transfert/refus), désigner les propriétaires de risque, préciser les mesures compensatoires et les modalités de revue, puis formaliser un plan d’action et des fiches d’arbitrage à destination de la Direction.
  • Définir les orientations stratégiques SSI et le niveau de sécurité cible en intégrant les contraintes budgétaires, les objectifs de sobriété numérique, et les priorités de la Direction. Puis formaliser la politique de sécurité (PSSI/directives) et les directives et procédures associées pour constituer le référentiel normatif opposable de l'organisation.
  • Construire la feuille de route SSI pluriannuelle et le budget associé (ex. CAPEX/OPEX) : prioriser une trajectoire soutenable, puis structurer les modalités de pilotage de la feuille de route à l’aide d’indicateurs de suivi (KPI/KRI) et de dispositif de gouvernance afin d’assurer le suivi et l’arbitrage dans la durée.
  • Argumenter la stratégie SSI auprès des instances de gouvernance afin d’obtenir des décisions formalisées relatives aux arbitrages, au budget et aux ressources, d’en acter les acceptations, et d’en assurer la traçabilité dans les dispositifs de gouvernance.
RNCP42858BC02Définir, valider et piloter la mise en œuvre des mesures de sécurité, notamment de l’architecture
  • Décliner les objectifs de la PSSI en exigences de sécurité mesurables (techniques et organisationnelles) en intégrant les principes de Security by Design et de durcissement : Produire des exigences priorisées (must/should), assorties de critères de preuve et de jalons de validation afin de guider et de sécuriser l’ingénierie des projets.
  • Cadrer l’architecture de sécurité cible, définir les principes de segmentation, de Zero Trust et de gestion des identités, en formalisant les principes, les contraintes et les critères d’acceptation, afin de réduire les surfaces d’exposition et de garantir la résilience structurelle du système d’information. Puis veiller à ce que l’architecture minimise l’empreinte environnementale du SI.
  • Piloter le volet sécurité des acquisitions de solutions, définir et formaliser les exigences de sécurité et de durabilité dans les cahiers des charges (CCTP), évaluer les offres au regard des risques et des exigences de sécurité et de leur empreinte environnementale, puis éclairer le choix final en lien avec les fonctions Achats.
  • Valider la conformité des architectures et solutions : analyser les dossiers d’architecture, définir les critères d'acceptation puis vérifier les preuves fournies par la MOE (tests, scans, etc.) avant mise en production : Décliner les principes de conception universelle dans les spécifications de sécurité des systèmes, en assurant une accessibilité de niveau requis (ex.RGAA/WCAG niveau AA).
  • Arbitrer les risques résiduels et les dérogations lors des phases de projet : analyser les écarts entre exigences et mise en œuvre, statuer sur les dérogations, puis formaliser les décisions, l’autorité d’acceptation, les mesures compensatoires, la durée de validité et les modalités de revue afin d’assurer la traçabilité de la posture de sécurité.
  • Définir les conditions de mise en service sécurisée et organiser la transition vers l’exploitation (RUN) en validant les exigences d’exploitabilité (supervision, journalisation) et en transférant les responsabilités documentées pour garantir le maintien de la posture de sécurité post-déploiement
RNCP42858BC03Piloter la posture de sécurité, la conformité et la résilience
  • Assurer la veille réglementaire et normative en cybersécurité en analysant les impacts des évolutions légales (NIS2, DORA, etc.) sur le dispositif de sécurité de l'organisation, et structurer la diffusion et la communication internes des informations pertinentes afin d’éclairer les décisions et les mises en conformité.
  • Cadrer la conformité SSI : hiérarchiser les exigences réglementaires et normatives applicables (NIS2, ISO 27001, RGPD, etc.) en les corrélant aux risques majeurs de l'organisation, et traduire ces obligations externes en règles internes de sécurité (PSSI, Directives) pour établir et maintenir un dispositif SSI opérationnel, priorisé et contrôlable : Établir une matrice d’applicabilité pour chaque exigence, le périmètre, le propriétaire, les contrôles attendus. Cartographier les exigences, les registres de risques et les mécanismes de scoring (criticité, exposition, effort). Intégrer les exigences d'accessibilité numérique (RGAA/WCAG).
  • Structurer le dispositif de contrôle interne SSI en définissant les référentiels, la périodicité des campagnes et les modalités de gestion des preuves et les mécanismes de contrôle continu. Puis, Piloter la performance SSI via des indicateurs (KPI/KRI) en analysant les tendances et les dérives, en intégrant si pertinent, les enjeux de sobriété numérique, pour fournir une vision consolidée de la posture de sécurité.
  • Orchestrer l'amélioration continue du dispositif en qualifiant les écarts de sécurité selon leur criticité ((bloquant, majeur, mineur) et en définissant les plans de remédiation ou les options de traitement des risques avec les mesures compensatoires, les échéances associées. Puis, consolider l’état de conformité et préparer les dossiers d’arbitrage à destination des instances, enfin suivre la mise en œuvre et la clôture des décisions pour garantir la traçabilité des décisions de sécurité.
  • Évaluer et encadrer le risque lié aux tiers (fournisseurs, SaaS) en analysant les dépendances, critères EBIOS, les accès accordés et les chaînes de sous-traitance, y compris en cascade, afin de qualifier l’exposition cyber de l’organisation (TPRM) et en évaluant l'efficacité des actions correctives post-audit. Puis, définir et valider les exigences de sécurité contractuelles, incluant les clauses de protection, de réversibilité et de droit d’audit, afin d’encadrer la relation.
  • Piloter le cycle de vie de la sécurité des prestataires, superviser les processus d'embarquement, organiser les contrôles récurrents (basés sur des preuves et indicateurs) et la gestion des accès, et encadrer la réversibilité et la sortie sécurisée afin d’assurer ou de maintenir une posture de sécurité maîtrisée dans le temps.
  • Définir les exigences de résilience opérationnelle (BIA/PCA/PRA, RTO/RPO) en coordination avec les métiers pour garantir la continuité des activités critiques : Définir le cadre organisationnel de réponse aux incidents en structurant les procédures d'escalade, le RACI et les contrats de support spécialisés. Prescrire les exigences de résilience opérationnelle (RTO, RPO, scénarios de continuité) en coordination avec les métiers.
  • Définir des scénarios de simulation alignés sur des objectifs mesurables et des critères de réussite, préparer les dispositifs de communication de crise inclusifs (accessible aux PSH), y compris hors des systèmes d’information potentiellement compromis, mobiliser et entraîner les parties prenantes, puis formaliser un plan d’actions post-exercice précisant les axes d’amélioration, les propriétaires et les échéances.
  • Coordonner la réponse stratégique en situation de crise cybersécurité, structurer et piloter l’animation de la cellule de crise SSI (ex en cellule décisionnelle et technique), organiser la production et la mise à jour des éléments de situation (main courante, SITREP), préparer les arbitrages décisionnels sous contrainte tout en veillant à la prévention des RPS et à la sécurité des équipes engagées (préservation des effectifs, rotation) et en assurer la traçabilité, en appui du dispositif global de gestion de crise.
  • Piloter la sortie de crise et la reprise sécurisée : définir et valider les critères de remise en service (go / no-go), encadrer les opérations de restauration dans un état de confiance (environnements sains, rotation des secrets et des identités), organiser les contrôles de régression de sécurité, puis formaliser la clôture de crise à travers un retour d’expérience structuré et un plan d’actions suivi.
RNCP42858BC04Management stratégique de la sécurité dans les activités de l’entreprise
  • Cadrer et structurer la contribution SSI au sein des projets, définir les jalons et gates de sécurité incluant les critères d’acceptation, les livrables de sécurité, les dépendances avec les autres lots, les responsabilités associées (RACI), ainsi que les points de décision (go / no-go), puis intégrer ces éléments au pilotage et au planning global.
  • Suivre l’avancement des activités et les consommations budgétaires (CAPEX/OPEX), anticiper les dérives afin de préparer les arbitrages budgétaires ou calendaires, puis assurer la clôture SSI des projets et organiser le transfert vers l’exploitation (RUN).
  • Spécifier les exigences SSI propres à chaque projet en déclinant la PSSI, les standards et les principes d’architecture en exigences (NFR) mesurables et vérifiables, adaptées aux enjeux métiers/techniques et au profil de risque du projet, et assorties de critères d’acceptation : Analyser le contexte, le périmètre et les enjeux du projet. Co-construire avec les métiers à partir des processus et des usages, les fonctions de sécurité nécessaires. Adapter les exigences SSI applicables.
  • Vérifier, sur la base de preuves, la conformité des livrables aux jalons décisionnels ; qualifier les écarts et piloter leur traitement (remédiation ou dérogation compensée) ; puis émettre un avis motivé (go / no-go) en traçant le risque résiduel et les décisions d’acceptation avant la mise en service.
  • Coordonner et mobiliser les acteurs internes (métiers, DSI, juridique, RUN) au sein de la gouvernance projet en construisant une coalition sponsor + relais ; aligner les enjeux SSI avec les objectifs business et IT ; gérer les dépendances et les résistances ; préparer les arbitrages afin d’assurer la traçabilité des décisions et des engagements.
  • Accompagner l’adoption des mesures de sécurité en analysant les impacts et les irritants utilisateurs et les besoins spécifiques de compensation (accessibilité, etc.), orchestrer les actions ciblées avec les relais internes, puis mesurer l’adoption réelle afin de piloter les ajustements nécessaires.
  • Déployer le plan d’accompagnement au changement SSI en définissant et en pilotant des actions de formation et de sensibilisation adaptées par profils, en mobilisant les relais internes (RH/Com/management), et en mesurant leur efficacité afin d’assurer l’adoption des nouveaux dispositifs.
  • Sécuriser la transition vers l’exploitation (RUN) et mesurer l’adoption des mesures de sécurité : suivre les indicateurs d’usage, ancrer les nouvelles pratiques de sécurité dans les rituels d’exploitation, et s’assurer de la montée en compétence des équipes afin de garantir l’adoption réelle et durable.

Conditions et prérequis

  • Votre entrée en VAE est conditionnée par la confirmation de votre candidature, qui repose sur votre dossier de recevabilité. Ce dossier met en valeur vos expériences professionnelles et personnelles et démontre leur adéquation avec le parcours visé.

Questions fréquentes

Quelle expérience faut-il pour obtenir « Manager cybersécurité et résilience numérique » par la VAE ?

Il faut justifier d'activités en rapport direct avec le référentiel : expérience salariée, indépendante, bénévole, stage ou mandat. Depuis la loi du 21 décembre 2022, aucune durée minimale n'est exigée ; c'est le certificateur (OPENCLASSROOMS) qui vérifie l'adéquation au moment de la recevabilité. Cette certification prévoit aussi des conditions particulières, indiquées sur cette page.

Peut-on valider seulement une partie de la certification ?

Oui. Elle compte 4 blocs de compétences et le jury peut en valider tout ou partie. Les blocs obtenus restent acquis définitivement : vous pourrez compléter les autres plus tard, par une nouvelle VAE ou par la formation.

Combien coûte le jury ?

Le certificateur indique un coût de jury d'environ 1 000 €. S'y ajoute l'accompagnement si vous en choisissez un. Selon votre situation, ces frais peuvent être pris en charge en tout ou partie.

Le jury peut-il se passer à distance ?

L'évaluation prévoit une mise en situation professionnelle à distance et un entretien avec le jury à distance. Le jury s'appuie sur votre dossier de validation : plus vos exemples sont précis, plus l'échange est facile.

Que doit montrer le dossier pour « Manager cybersécurité et résilience numérique » ?

Des projets ou des incidents réels, avec l'architecture et les choix techniques. La sécurité : droits, sauvegardes, mises à jour, gestion des vulnérabilités. Un dépôt de code, une documentation ou des schémas que vous avez réalisés valent mieux qu'une liste de technologies.

Combien de temps dure une VAE ?

Comptez en général 6 à 12 mois entre la recevabilité et le jury. Le délai dépend de votre disponibilité pour rédiger le dossier et des dates de jury fixées par le certificateur.

Comment financer sa VAE ?

Selon votre situation : votre employeur et son OPCO, Transitions Pro pour un salarié du privé, France Travail ou la Région pour un demandeur d'emploi, ou un financement personnel. Un congé VAE permet aussi de s'absenter pour préparer et passer le jury. Les montants et conditions évoluant chaque année, le détail à jour est sur notre page financement.

Le détail des financements de la VAE →

Guide PDF gratuit · 9 pages

Réussir sa VAE, étape par étape

Les étapes, les délais, les documents à réunir et des fiches à remplir pour avancer dès aujourd'hui.

Recevoir le guide →

Cette certification vous correspond ?

On vérifie avec vous la recevabilité, le financement et le calendrier. Premier échange gratuit et sans engagement.

Faire le point VAE →Chercher une autre certification